PostgreSQL'e tek tırnak işareti içeren metin ekleme

Bir masam var test(id,name).

Ben gibi değerleri eklemek gerekir: user's log, 'my user', customer's.

 insert into test values (1,'user's log');
 insert into test values (2,''my users'');
 insert into test values (3,'customer's');

Yukarıdaki ifadelerden herhangi birini çalıştırırsanız bir hata alıyorum.

Bunu doğru yapmak için herhangi bir yöntem varsa lütfen paylaşın. Hazırlanmış bir ifade istemiyorum.

Sql kaçış mekanizması kullanmak mümkün mü?

Dize değişmez değerleri

Tek tırnakları 'ikiye katlayarak kaçmak -> ''standart yoldur ve elbette çalışır:

'user's log'     -- incorrect syntax (unbalanced quote)
'user''s log'

Eski sürümlerde veya hala standard_conforming_strings = offveya ile çalışıyorsanız, genellikle, Posix kaçış dizesi sözdiziminiE bildirmek için dizenizi başa eklerseniz, ters eğik çizgiyle de kaçabilirsiniz :\

E'user\'s log'

Ters eğik çizginin kendisi başka bir ters eğik çizgiyle kaçtı. Ancak bu genellikle tercih edilmez.
Birçok tek tırnak veya birden fazla kaçış katmanı ile uğraşmak zorunda kalırsanız, PostgreSQL'de dolar cinsinden dizelerle cehennemden kaçınabilirsiniz :

'escape '' with '''''
$$escape ' with ''$$

Dolar-kotasyonlar arasında karışıklığı önlemek için, her bir çift için benzersiz bir jeton ekleyin:

$token$escape ' with ''$token$

Hangi sayıda seviye iç içe olabilir:

$token2$Inner string: $token1$escape ' with ''$token1$ is nested$token2$

$Karakterin istemci yazılımınızda özel bir anlamı olması gerektiğine dikkat edin . Ayrıca kaçmak zorunda kalabilirsiniz. Psql veya pgAdmin gibi standart PostgreSQL istemcilerinde durum böyle değildir.

Tüm bunlar plpgsql fonksiyonlarını veya geçici SQL komutlarını yazmak için çok kullanışlıdır. Bununla birlikte, kullanıcı girişi mümkün olduğunda uygulamanızda SQL enjeksiyonuna karşı koruma sağlamak için hazırlanmış ifadeler veya başka bir yöntem kullanma ihtiyacını azaltamaz. @ Craig'in cevabı bundan daha fazlasını içeriyor. Daha fazla detay:

• Postgres fonksiyonlarında SQL enjeksiyonu ile hazırlanmış sorguların karşılaştırılması

Postgres içindeki değerler

Veritabanı içindeki değerlerle uğraşırken, dizeleri doğru şekilde alıntılamak için birkaç yararlı işlev vardır:

• quote_literal()veyaquote_nullable() - ikincisi NULLboş girdi için dizeyi çıktılar . ( Geçerli SQL tanımlayıcılarını almak için gerektiğinde dizeleri çift ​​tırnak olarak da quote_ident()kullanabilirsiniz .)
• format()biçimlendirici %Lile eşdeğerdir quote_nullable().
  Sevmek:format('%L', string_var)
• concat()veyaconcat_ws() iç içe tek tırnak ve ters eğik çizgilerden kaçmadığından genellikle iyi değildir .

Bu çok kötü dünyalar, çünkü sorunuz muhtemelen uygulamanızda boşluk bırakan SQL enjeksiyon deliklerine sahip olduğunuzu ima ediyor .

Parametreli ifadeler kullanıyor olmalısınız. Java PreparedStatementiçin yer tutucularla kullanın . Parametreli ifadeler kullanmak istemediğinizi söylüyorsunuz, ancak nedenini açıklamıyorsunuz ve açıkçası bunları kullanmamanın çok iyi bir nedeni olmalı çünkü bunlar, denediğiniz sorunu çözmenin en basit ve en güvenli yoludur çözmek için.

Java'da SQL Enjeksiyonunu Önleme konusuna bakın . Olmayın Bobby bireyin sonraki kurban.

PgJDBC'de dize alıntılama ve kaçma için genel bir işlev yoktur. Bunun nedeni kısmen iyi bir fikir gibi görünmesine neden olabilir.

Orada olan yerleşik işlevleri alıntı quote_literalve quote_identPostgreSQL de, ancak içindir PL/PgSQLkullanım olduğu fonksiyonlar EXECUTE. Bugünlerde quote_literalçoğunlukla tarafından obsoleted edilir EXECUTE ... USINGki, Parametrelenmiş versiyonu o çünkü, daha güvenli ve daha kolay . Bunları burada açıkladığınız amaç için kullanamazsınız, çünkü bunlar sunucu tarafı işlevleridir.

Değeri ');DROP SCHEMA public;--kötü niyetli bir kullanıcıdan alırsanız ne olacağını hayal edin . Sen üreteceksin:

insert into test values (1,'');DROP SCHEMA public;--');

iki ifadeye ve yok sayılan bir yoruma ayrılır:

insert into test values (1,'');
DROP SCHEMA public;
--');

Hata! Veritabanınız gidiyor.

PostgreSQL belgelerine göre (4.1.2.1. Dize Sabitleri) :

 To include a single-quote character within a string constant, write two 
 adjacent single quotes, e.g. 'Dianne''s horse'.

Ayrıca ters eğik çizgilerden kaçmanın işe yarayıp yaramadığını kontrol eden standard_conforming_strings parametresine de bakın .

Postgresql'de içine değerler eklemek istiyorsanız ', bunun için ekstra vermeniz gerekir.'

 insert into test values (1,'user''s log');
 insert into test values (2,'''my users''');
 insert into test values (3,'customer''s');

postrgesql chr (int) işlevini kullanabilirsiniz:

insert into test values (2,'|| chr(39)||'my users'||chr(39)||');

İşin Pg içinde yapılması gerekiyorsa:

to_json(value)

https://www.postgresql.org/docs/9.3/static/functions-json.html#FUNCTIONS-JSON-TABLE

select concat('''','abc','''')